Dumpster Diving ist eine physische Methode der Informationsbeschaffung, bei der Angreifer gezielt Müllbehälter und Papierkörbe nach weggeworfenen vertraulichen Informationen wie Passwörtern, Kontonummern, internen Dokumenten oder Organigrammen durchsuchen, um daraus Ansatzpunkte für weiterführende Angriffe zu gewinnen.
Auf einen Blick
Dumpster Diving ist eine physische Methode der Informationsbeschaffung ohne technische Hilfsmittel und kann zur Vorbereitung von Social-Engineering- oder anderen Folgeangriffen dienen.
Auch unzureichend gelöschte Datenträger wie USB-Sticks im Müll können vertrauliche Daten preisgeben.
In autorisierten Penetrationstests wird die Methode gezielt eingesetzt, um Schwachstellen in der Entsorgungspraxis eines Unternehmens aufzudecken.
Was ist Dumpster Diving?
Dumpster Diving bezeichnet eine physische Angriffsmethode, bei der Angreifer Müllbehälter und Papierkörbe nach weggeworfenen vertraulichen Informationen durchsuchen. Passwörter, Kontonummern, interne Dokumente oder Organigramme liefern dabei die Grundlage für weiterführende Angriffe wie gezieltes Phishing oder Social Engineering gegenüber Mitarbeitern. Ausgedruckte E-Mails, Gehaltsabrechnungen und nicht geschredderte Vertragsunterlagen zählen zu den Fundstücken, die Angreifer aus Entsorgungsboxen vor Bürogebäuden gewinnen. Ein Angreifer benötigt für diese Methode weder technisches Fachwissen noch Zugriff auf interne Systeme, sondern lediglich physischen Zugang zum Abfall. Auch digitale Datenträger, die ohne sichere Löschung im Restmüll landen, zählen zu den möglichen Fundstücken dieser Methode. Dumpster Diving wird deshalb häufig als physische Methode der Informationsbeschaffung im Kontext von Social Engineering oder zur Vorbereitung anderer Angriffe eingesetzt.
Liegen nicht geschredderte Vertragsunterlagen und Gehaltsabrechnungen im Büromüll eines Versicherers, erhalten Angreifer daraus Informationen, die als Grundlage für weiterführende Social-Engineering-Angriffe dienen können. Kundennamen, Vertragsnummern oder interne Ansprechpartner aus solchen Unterlagen erlauben es, spätere Phishing-Nachrichten glaubwürdiger zu gestalten. Ob ein solcher Fund tatsächlich zu einem Folgeangriff führt, hängt davon ab, wie vollständig die gefundenen Informationen sind und wie konsequent das Unternehmen sensible Dokumente vor der Entsorgung vernichtet.
Wie funktioniert Dumpster Diving?
Ein Angreifer durchsucht bei Dumpster Diving gezielt öffentlich zugängliche oder unzureichend gesicherte Müllbehälter, Papierkörbe und Entsorgungscontainer nach verwertbaren Informationen. Ausgedruckte Dokumente, Notizen oder aussortierte Datenträger liefern dabei Namen, Zugangsdaten, interne Abläufe oder Organisationsstrukturen, ohne dass ein technischer Angriff auf IT-Systeme notwendig ist. Wie leicht solche Informationen zugänglich sind, hängt unter anderem von der Entsorgungspraxis und der Absicherung des Entsorgungsbereichs ab. Die gesammelten Informationen können anschließend für weiterführende Angriffe genutzt werden, etwa um sich am Telefon oder per E-Mail glaubwürdig als interne Person auszugeben. Ein unzureichend gesicherter Entsorgungsbereich – etwa ein frei zugänglicher Container ohne Schließmechanismus – erleichtert Angreifern den Zugriff, während ein geschützter und kontrollierter Bereich diesen Angriffsweg erschwert. Je genauer die gefundenen Unterlagen interne Namen oder Abläufe preisgeben, desto überzeugender lässt sich damit ein nachfolgender Social-Engineering-Versuch gestalten.
Woran erkenne ich Dumpster Diving?
| Signal | Woran erkennbar |
|---|---|
| Durchwühlte Abfallbehälter | Müllbehälter oder Container wirken durchsucht, Deckel stehen offen oder Inhalt liegt verstreut. |
| Fremde Personen im Entsorgungsbereich | Unbekannte Personen halten sich ohne erkennbaren Grund länger bei Mülltonnen oder Containern auf. |
| Sensible Dokumente im normalen Altpapier | Sensible Unterlagen wie Verträge oder Gehaltsabrechnungen liegen unzerkleinert im normalen Papiermüll. |
Schutz im Ernstfall
Vorbeugen
- Sensible Dokumente vor der Entsorgung durchgängig schreddern oder fachgerecht vernichten lassen.
- Entsorgungsbereiche und Container abschließen oder auf einem kontrollierten Firmengelände platzieren.
- Datenträger wie USB-Sticks oder Festplatten vor der Entsorgung sicher löschen oder physisch zerstören.
- Mitarbeiter im Umgang mit vertraulichen Ausdrucken und deren Entsorgung schulen.
Was tun im Ernstfall
- Fund oder Verdachtsfall intern der zuständigen Sicherheits- oder Datenschutzstelle melden.
- Umfang der möglicherweise offengelegten Informationen einschätzen und bei personenbezogenen Daten prüfen, ob betroffene Personen nach Art. 34 DSGVO zu benachrichtigen sind.
- Bei personenbezogenen Daten prüfen, ob eine Meldepflicht nach DSGVO gegenüber der Aufsichtsbehörde besteht.
- Entsorgungsprozess überarbeiten, um die festgestellte Lücke zu schließen.
Beispiele aus der Praxis
- Ein Angreifer durchsucht die Entsorgungsboxen vor einem Bürogebäude und findet ungeschredderte Ausdrucke mit internen Informationen, die er für einen gezielten Phishing-Angriff verwendet.
- Im Rahmen eines autorisierten Penetrationstests findet das Red Team im Außencontainer eines Unternehmens vollständige Organigramme und Projektpläne, die für Social-Engineering-Angriffe genutzt werden könnten.
- Ein nicht ordnungsgemäß entsorgter USB-Stick mit unverschlüsselten Kundendaten kann eine Verletzung des Schutzes personenbezogener Daten darstellen; ob eine Meldung nach Art. 33 DSGVO erforderlich ist, hängt von der Risikobewertung ab.
- Liegen nicht geschredderte Vertragsunterlagen und Gehaltsabrechnungen im Büromüll eines Versicherers, können Angreifer daraus Informationen gewinnen, die als Grundlage für weiterführende Social-Engineering-Angriffe auf das Unternehmen dienen.
Häufiger Irrtum
Mythos „Weggeworfene Dokumente sind, sobald sie im Müll landen, kein Sicherheitsrisiko mehr, weil sich niemand für Abfall interessiert.“
Richtig Unzureichend gesicherte oder öffentlich zugängliche Abfallbehälter können Unbefugten Zugriff ermöglichen; ungeschredderte Dokumente können verwertbare Informationen enthalten.
